Katalog podatności CVE

Winter CMS to system zarządzania treścią zbudowany na frameworku Laravel PHP. W wersjach przed 1.2.13 backend nie walidował nazwy handlera przesłanej przez pole _handler w formularzu postback, co pozwalało uwierzytelnionemu użytkownikowi backendu na wywoływanie dowolnych metod kontrolera, w tym chronionych, prywatnych i z prefiksem akcji. Chociaż żądania AJAX walidują, że nazwy handlerów pasują do wzorca on[A-Z][\w+]* , ścieżka postback przekazywała przesłaną wartość _handler bezpośrednio do dyspozytora handlerów bez takiego sprawdzenia, więc każdy kontroler, który udostępnia publiczną akcję lub warunkowo zwalnia sprawdzenie $requiredPermissions, mógł być osiągnięty, omijając system ról i uprawnień. Wbudowany kontroler Users był dotknięty, ponieważ ustawiał $requiredPermissions na null dla akcji myaccount, pozwalając każdemu uwierzytelnionemu użytkownikowi backendu na wywoływanie metod zarządzania użytkownikami, takich jak update_onDelete i update_onManualPasswordReset, bez posiadania uprawnienia backend.manage_users. Ten problem został naprawiony w wersji 1.2.13.

Winter to darmowy system zarządzania treścią (CMS) oparty na frameworku Laravel PHP. Od wersji 1.2.10 do 1.2.12, uwierzytelnieni użytkownicy backendu z uprawnieniem backend.manage_editor mogą przechowywać niestandardowe style Markup, które są kompilowane przez parser LESS i renderowane bez sanityzacji na każdej stronie backendu, co pozwala na przechowywany cross-site scripting. Ten problem został naprawiony w wersji 1.2.13.

Winter to darmowy system zarządzania treścią (CMS) oparty na frameworku Laravel PHP. Przed wersją 1.2.13, niestandardowe CSS dostarczane przez pole Brand Settings Styles przez użytkownika backendu z uprawnieniem backend.manage_branding jest kompilowane przez parser LESS i renderowane bez sanityzacji na każdej stronie backendu, co pozwala na przechowywany cross-site scripting przeciwko użytkownikom backendu. Ten problem został naprawiony w wersji 1.2.13.

W LibreNMS 1.65 odkryto problem. Zdalny uwierzytelniony atakujący z normalnymi uprawnieniami może wyodrębnić wszystkie informacje z bazy danych LibreNMS poprzez wstrzyknięcie SQL w parametrze address w punkcie końcowym API /ajax_table.php.

W LibreNMS 1.65 odkryto problem. Zdalny uwierzytelniony atakujący z normalnymi uprawnieniami może wyodrębnić wszystkie informacje z bazy danych LibreNMS poprzez wstrzyknięcie SQL w parametrze sort w punkcie końcowym API /ajax_table.php. Dotyczy to wielu plików w includes/html/table.

W LibreNMS 1.65 odkryto problem. Zdalny uwierzytelniony atakujący z normalnymi uprawnieniami może wykonać dowolne polecenia powłoki poprzez wstrzyknięcie poleceń w punkcie końcowym API /graph.php.

Stalwart Mail Server w domyślnej konfiguracji nie porównuje celu przekierowania OAuth z żadnym zarejestrowanym adresem. Walidacja w registration.rs zwraca sukces natychmiast, gdy wymóg uwierzytelnienia klienta jest wyłączony, a w dostarczonych ustawieniach jest on fałszywy. Wartość przekierowania jest zapisywana z kodem autoryzacyjnym, a strona logowania wysyła do niej przeglądarkę z kodem, co pozwala atakującemu przechwycić kod i wymienić go na tokeny dostępu i odświeżenia, uzyskując dostęp do poczty ofiary.

Midday pozwala każdemu członkowi zespołu na jego usunięcie. Procedura usuwania autoryzuje wywołującego za pomocą pomocnika team-access, który zwraca true dla każdego wiersza w tabeli członkostwa, niezależnie od roli. Sąsiednie procedury usuwania lub aktualizacji członka sprawdzają rolę i odmawiają, jeśli nie jest właścicielem, ale usuwanie zespołu nie ma takiego sprawdzenia. Każdy zaproszony użytkownik może usunąć zespół i wszystkie powiązane dane, a zadanie czyszczące używa zapisanych tokenów bankowych do połączeń z dostawcami.

IDURAR ERP CRM zmienia hasło konta wskazanego w żądaniu, a nie konta wykonującego żądanie. Procedura aktualizacji w updatePassword.js pobiera uwierzytelnionego użytkownika z tokena, ale aktualizację wykonuje na podstawie identyfikatora z URL, bez porównania. Trasa jest chroniona tylko sprawdzeniem tokena administratora, więc każda sesja administratora wystarczy. Jedyna ochrona odrzuca tylko jeden zakodowany adres demo. Atakujący może ustawić dowolne hasło na innym koncie administratora i zalogować się jako on.

OpenMetadata akceptuje dostarczony przez wywołującego cel przekierowania po uwierzytelnieniu i dołącza do niego wygenerowany token. SamlLoginServlet odczytuje parametr callback i zapisuje go w sesji bez porównania z zarejestrowanym celem, a serwlet konsumenta później formatuje tę wartość do URL z JWT i danymi konta. Podobnie działają procedury OIDC i OAuth2. Atakujący może dostarczyć link, który po zalogowaniu ofiary wysyła token do kontrolowanego przez atakującego celu, co pozwala na przejęcie konta.

one-api zabezpiecza jedną z dwóch ścieżek przypinania kanału, ale nie drugą. Ścieżka z sufiksem klucza API wymaga sprawdzenia roli administratora, ale ścieżka z parametrem URL nie ma żadnego sprawdzenia roli. Trasa z tym parametrem jest chroniona tylko tokenem uwierzytelniającym, więc każde konto z ważnym tokenem może ją osiągnąć. Wartość trafia do dystrybutora, który ładuje kanał po identyfikatorze bez ograniczeń do użytkownika lub grupy, a następnie ustawia nagłówek Authorization na klucz kanału. Niskouprzywilejowane konto może przypiąć dowolny kanał, wysyłając żądania z kluczem operatora, omijając ograniczenia grup i listy dozwolonych modeli.

bestzip buduje listę argumentów dla systemowego narzędzia zip bez oddzielania opcji od operandów. Ścieżka archiwum docelowego i ścieżki źródłowe są przekazywane bez separatora --, więc każdy element źródłowy zaczynający się od myślnika jest interpretowany jako opcja. zip akceptuje -T do testowania archiwum i -TT do nazwania polecenia testującego, więc lista źródeł zawierająca te elementy i ciąg poleceń powoduje wykonanie polecenia przez powłokę po zapisaniu archiwum. Aplikacja przekazująca niezaufaną nazwę pliku do bestzip może wykonać dowolne polecenie.

FiftyOne renderuje opis pola zbioru danych jako znaczniki HTML. Komponent informacyjny paska bocznego przekazuje opis do dangerouslySetInnerHTML bez żadnej dezynfekcji, co pozwala na wykonanie przechowywanego kodu po najechaniu na pole. Ponieważ opis jest przechowywany w schemacie i podróżuje z eksportowanym zbiorem, otwarcie zbioru od innej strony może uruchomić złośliwy skrypt w kontekście aplikacji.

SunEditor przed wersją 3.1.4 ma podatność w pluginie Embed, która pozwala na wykonanie JavaScript w edytorze. Plugin parsuje surowe HTML embed i odtwarza zewnętrzne elementy script, co prowadzi do XSS. Jeśli aplikacja przechowuje lub odzwierciedla treść bez dodatkowej dezynfekcji, atakujący może wywołać przechowywany lub odzwierciedlony XSS.

W jądrze Linuxa naprawiono podatność: po commicie 9db5b3cec4ec ("mptcp: borrow forward memory from subflow"), błędy w ścieżce odbioru przed umieszczeniem skb w kolejce odbiorczej nie wyzwalają zwalniania wcześniej przydzielonej pamięci. Aby zapobiec niekontrolowanemu wzrostowi pamięci forward w patologicznych scenariuszach zrzucania pakietów, jawnie zwalniana jest pamięć, gdy skb są odrzucane.

W jądrze Linux w sterowniku s390/qeth funkcje qeth_snmp_command() i qeth_l3_arp_query() alokują bufor o rozmiarze podanym przez użytkownika bez sprawdzania dolnego limitu, co prowadzi do przepełnienia bufora przy zapisie poza alokację. Poprawka polega na odrzucaniu buforów mniejszych niż udata_offset przed alokacją.

W jądrze Linux w sterowniku ASoC lpass-tx-macro funkcje tx_macro_dec_mode_get() i tx_macro_dec_mode_put() odwołują się do wartości kontrolki przez ucontrol->value.integer.value[0] zamiast ucontrol->value.enumerated.item[0], co prowadzi do odczytu/zapisu poza zakresem dla typów wyliczeniowych. Poprawka polega na użyciu właściwego pola.

W jądrze Linux w sterowniku drm/shmem_helper w handlerze ->huge_fault nie sprawdzano, czy mapowanie PMD nie przekracza granic VMA, co może prowadzić do VM_BUG_ON_VMA() w copy_pmd_range(). Poprawka dodaje sprawdzenie granic VMA przed instalacją mapowania.

W jądrze Linux w sterowniku fbdev funkcja mode_string() używa snprintf(), która może zwrócić wartość większą niż pozostałe miejsce w buforze, co prowadzi do przesunięcia offsetu poza bufor sysfs. Poprawka dodaje parametr rozmiaru i używa scnprintf(), oraz wcześniejsze wyjście, gdy offset przekracza bufor.

W jądrze Linux w sterowniku fbdev funkcja fb_set_var() może usunąć tryb z listy modeli, ale nie sprawdza, czy fb_info->mode wskazuje na usuwany wpis, co prowadzi do użycia zwisającego wskaźnika przy odczycie sysfs. Poprawka czyści fb_info->mode przed usunięciem trybu.